Sigma
Generisches Format für Erkennungsregeln
Sigma — Generic Detection Rule Format
Sigma ist ein offenes, herstellerneutrales Format, um Erkennungsregeln für Logdaten zu beschreiben — gewissermaßen das, was Mustererkennung für Schadsoftware (YARA) für Dateien ist, für Log-Ereignisse. Eine in Sigma formulierte Regel lässt sich über Werkzeuge in die Abfragesprache verschiedener Sicherheitsinformations- und Ereignis-Management (SIEM)-Systeme übersetzen. So werden Erkennungslogiken austauschbar und unabhängig vom konkreten Produkt teilbar.
Historie & Fakten. Vor Sigma war Erkennungslogik in der jeweiligen, proprietären Sicherheitsinformations- und Ereignis-Management (SIEM)-Sprache eingeschlossen — eine gute Regel ließ sich nicht ohne Weiteres mit anderen teilen oder auf ein anderes System übertragen. Sigma beschreibt Regeln in einem einfachen, lesbaren YAML-Format und überlässt die Übersetzung in die Zielsprache einem Konverter. Eine gepflegte, öffentliche Regelbasis erlaubt es der Community, neue Angriffstechniken schnell als geteilte Erkennung verfügbar zu machen.
Ausblick & Empfehlung. Sigma passt eng zu Wissensbasis gegnerischer Taktiken und Techniken (ATT&CK): Regeln lassen sich auf konkrete Techniken kartieren und so Abdeckungslücken sichtbar machen. Für Organisationen mit heterogener oder wechselnder Sicherheitsinformations- und Ereignis-Management (SIEM)-Landschaft ist die Herstellerunabhängigkeit ein strategischer Vorteil — die investierte Erkennungslogik bleibt bei einem Plattformwechsel erhalten. Geteilte Sigma-Regeln sind zudem ein praktischer Weg, von der Erfahrung anderer zu profitieren.